Gracias a los dos por responder. Precisamente ya había modificado el web.config asi:
Código:
<location path="download/pdf">
<system.web>
<authorization>
<deny users="*" />
</authorization>
<httpHandlers>
<add verb="*" path="*.pdf" type="System.Web.HttpForbiddenHandler" />
</httpHandlers>
</system.web>
</location>
Lo que no entiendo es porqué no tengo permisos para añadir una extensión para proteger, si soy el administrador del sistema. Sobre los filtro ISAPI, no sé muy bien cómo hacerlo, ya que sólo están las opciones de "Nombre del filtro" y "Ejecutable".
De todas formas, pretendía hacerlo sólo desde el web.config, porque en el servidor en el que finalmente se pondrá todo no tengo permisos para tocar nada del IIS.
Gracias de nuevo.